漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0121108
漏洞标题：土巴兔装修网某接口可探测大量用户用户数据
相关厂商：土巴兔装修网
漏洞作者： 路人甲
提交时间：2015-06-17 12:48
修复时间：2015-08-01 14:08
公开时间：2015-08-01 14:08
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-17： 细节已通知厂商并且等待厂商处理中
2015-06-17： 厂商已经确认，细节仅向厂商公开
2015-06-27： 细节向核心白帽子及相关领域专家公开
2015-07-07： 细节向普通白帽子公开
2015-07-17： 细节向实习白帽子公开
2015-08-01： 细节向公众公开
简要描述：
土巴兔装修网某接口可探测大量用户用户数据
详细说明：
在
主站看见一个旗下的网站
地址
该登陆接口控制不严，无次数限制，并且无验证码，可以批量爆破用户密码。
看下这个登陆地方。
可以用用户名登陆，那就好办了。现在去找一些可以获取用户名的地方就行了。
通过测试，这个三个地方都可以获取用户名
用户量大概是400百万左右。
利用http://www.shejiben.com/my/message.php?act=send&uid=1234567
这个接口获取了大概几百个用户名信息。
然后在登陆处使用，观察登陆接口，使用用户名和md5加密的密码来登陆。
这里仅仅用123456作为密码来测试。这个密码是够弱的
直接用脚本来爆破
发包频繁就会超时，脚本做了一下处理。
拿着成功这几个登陆下。直接登陆主站。主站和shejiben.com用户数据库是一起的。
主站和设计本这两个站都是可以登陆的。
测试只用了123456来做密码。并且只有几百个用户名。按照这个成功率，换个大点的密码字典，400万的用户。成功率也是很大的，包括设计师和用户。
漏洞证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-06-17 14:06
厂商回复：
感谢
最新状态：
暂无